UDP갱스터 백도어
이란 연계 조직인 머디워터(MuddyWater)의 소행으로 추정되는 위협 캠페인에서 UDP갱스터(UDPGangster)라는 새로운 백도어가 발견되었습니다. TCP 기반 통신에 의존하는 기존 악성코드와 달리, 이 도구는 사용자 데이터그램 프로토콜(UDP)을 명령 및 제어(C&C) 채널로 사용하여 기존 보안 솔루션으로는 트래픽을 탐지하기 더욱 어렵습니다. 백도어가 활성화되면 감염된 시스템에 대한 완전한 원격 조작을 가능하게 하여 명령 실행, 파일 유출, 그리고 2차 악성코드 배포를 가능하게 합니다.
목차
지역 타겟팅 및 간첩 동기
연구원들은 피해자들이 주로 터키, 이스라엘, 아제르바이잔에서 확인되었다고 보고했습니다. 이 작전의 성격과 지리적 집중도를 고려할 때, 민감한 환경 내에서 정보를 수집하고 원격 거점을 확보하기 위한 표적 간첩 활동임을 시사합니다.
피싱 미끼 및 악성 문서
공격자들은 네트워크 침투를 위해 스피어피싱에 크게 의존합니다. 북키프로스 터키 공화국 외무부를 사칭한 이메일이 의심하지 않는 수신자들에게 발송되었는데, '대통령 선거와 결과'라는 제목의 온라인 세미나에 초대하는 내용이 담겨 있었습니다.
이 이메일에는 동일한 악성 문서 두 개가 첨부되어 있었습니다. seminer.zip이라는 이름의 ZIP 압축 파일과 seminer.doc라는 이름의 Word 파일입니다. 이 문서를 열면 사용자에게 매크로를 활성화하라는 메시지가 표시되어 내장된 페이로드가 자동으로 실행됩니다. 악성 활동을 감추기 위해 이 매크로는 이스라엘 통신사 베제크(Bezeq)의 히브리어 가짜 이미지를 표시하는데, 이는 2025년 11월 초에 예정된 서비스 중단을 설명하는 것으로 추정됩니다.
매크로 실행 및 페이로드 전달
매크로가 활성화되면 드로퍼는 Document_Open() 이벤트를 활용하여 숨겨진 양식 필드에 저장된 Base64 데이터를 자동으로 디코딩합니다. 결과 콘텐츠는 다음 위치에 기록됩니다.
C:\Users\Public\ui.txt
그런 다음 이 파일은 Windows API CreateProcessA를 통해 실행되어 UDPGangster 백도어를 시작합니다.
스텔스 설계: 지속성 및 분석 방지 전술
UDPGangster는 Windows 레지스트리 지속성을 통해 호스트에서의 존재를 보호합니다. 또한 가상 환경, 샌드박스 및 포렌식 조사를 방해하기 위한 다양한 분석 방지 기술을 통합합니다. 여기에는 다음이 포함됩니다.
- 환경 및 가상화 검사
- 활성 디버깅 테스트
이러한 검사가 완료되어야만 맬웨어는 시스템 데이터를 유출하고 157.20.182[.]75의 UDP 포트 1269를 통해 외부 서버와 통신합니다. 이 채널을 통해 cmd.exe를 통해 셸 명령을 실행하고, 파일을 전송하고, 구성 세부 정보를 업데이트하고, 후속 페이로드를 배포할 수 있습니다.
운영 역량 및 데이터 도난
검증 후, 맬웨어는 시스템 메타데이터를 수집하여 원격 C2 서버로 전송합니다. UDP 기반 통신을 통해 공격자는 감염된 호스트와 실시간으로 상호 작용하여 명령 실행, 백도어 업그레이드, 또는 필요에 따라 추가 악성 모듈 설치 등을 지시할 수 있습니다. 이러한 구조는 정찰 및 장기 스파이 활동을 모두 지원합니다.
완화 및 인식
감염 경로가 매크로 활성화 피싱 문서에 달려 있기 때문에 사용자 인식은 여전히 중요한 방어 수단입니다. 의심스럽거나 원치 않는 첨부 파일, 특히 매크로 활성화를 촉구하는 첨부 파일은 매우 신중하게 처리해야 합니다. 조직은 매크로 제한을 시행하고, 행동 모니터링 솔루션을 구축하고, 사용자에게 표적 피싱 전술을 인식하도록 교육해야 합니다.
권장 방어 조치
- 조직 전체에서 매크로를 제한하거나 비활성화합니다.
- 매크로 기반 드로퍼를 감지할 수 있는 엔드포인트 보호 기능을 배포합니다.
- 비정상적인 아웃바운드 UDP 트래픽을 모니터링합니다.
- 알려지지 않았거나 의심스러운 포트에 대한 통신 시도를 표시합니다.
- 직원들에게 특정 대상을 겨냥한 피싱 지표에 대해 교육합니다.
MuddyWater의 UDPGangster 캠페인은 기만적인 미끼, 은밀한 매크로 실행, 그리고 고도화된 회피 기법을 결합함으로써 은밀한 접근과 지역 정보 수집에 대한 새로운 강조점을 보여줍니다. 이러한 위협이 발판을 마련하는 것을 막기 위해서는 문서 기반 공격에 대한 경계를 늦추지 않는 것이 필수적입니다.
